# Il lavoro sulla sicurezza c'è, ma la fiducia nella sicurezza manca > L'articolo di SwissGRC® spiega perché molti sistemi di gestione della sicurezza delle informazioni (ISMS) falliscono: il lavoro di sicurezza c'è, ma non è dimostrabile nel tempo. Si rivolge a chi gestisce audit, incidenti e verifiche e indica quattro requisiti per un ISMS pratico. - URL: https://swissgrc.com/it/lavoro-sicurezza-senza-fiducia-nella-sicurezza/ - Editore: SwissGRC® - Pubblicato: 2026-05-05 - Ultimo aggiornamento: 2026-05-05 ## Punti chiave - Secondo SwissGRC® molti ISMS falliscono nel divario tra svolgere attività di sicurezza e dimostrarle. - Il problema indicato non sono i controlli mancanti, ma la continuità: la sicurezza è continua, la documentazione è periodica. - Un ISMS pratico collega asset, rischi, controlli e responsabilità, così che l'impatto di una vulnerabilità sia visibile immediatamente. - Le evidenze dovrebbero accumularsi come sottoprodotto del lavoro: revisioni, approvazioni, valutazioni dei rischi e verifiche dei controlli lasciano una traccia automatica. - La sicurezza delle informazioni coinvolge più reparti, tra cui risorse umane, approvvigionamenti, unità di business e ufficio legale, e il sistema deve riflettere questa struttura condivisa. - La differenza tra sicurezza come documentazione e sicurezza come sistema emerge durante audit, incidenti, due diligence dei clienti e verifiche regolamentari. La maggior parte delle organizzazioni oggi *si occupa già* di sicurezza delle informazioni. Mantengono elenchi degli asset. Eseguono scansioni di vulnerabilità. Rivedono i diritti di accesso. Redigono policy. Eppure il momento scomodo arriva comunque: « Possiamo dimostrare che questo era sotto controllo lo scorso trimestre? » Silenzio. Non perché il lavoro non sia stato svolto, ma perché il lavoro vive in luoghi diversi. Le e-mail sulla sicurezza restano nelle caselle di posta. I registri dei rischi restano nei fogli di calcolo. I controlli restano nei documenti. La titolarità resta nella testa delle persone. Così, quando arriva un audit, un incidente o un questionario di un cliente, i team non verificano la sicurezza: la **ricostruiscono.** Questo divario tra svolgere attività di sicurezza e dimostrarle è il punto in cui molti sistemi di gestione della sicurezza delle informazioni (ISMS) falliscono nella pratica. Il vero problema non sono i controlli mancanti È la continuità che manca In teoria, un ISMS è semplice: identificare gli asset, valutare i rischi, applicare i controlli, rivedere regolarmente. La sicurezza è continua, mentre la documentazione è periodica. I team valutano i rischi all’avvio dei progetti, ma non quando gli ambienti cambiano. Gli asset vengono censiti durante l’onboarding, ma non durante la crescita dello shadow IT. I controlli vengono definiti, ma il loro funzionamento non è visibile nel tempo. Così l’organizzazione diventa conforme in determinati momenti, non sicura nel tempo. Un software per l’ISMS è utile solo se cambia il modo in cui il lavoro di sicurezza avviene quotidianamente, non solo durante gli audit. Che cosa dovrebbe realmente consentire un ISMS **1. La sicurezza deve seguire l’asset, non il foglio di calcolo** Quando emerge una vulnerabilità, le domande chiave sono sempre operative: - Quale sistema è interessato? - Chi ne è il proprietario? - Quali dati gestisce? - Quale rischio genera? Se le risposte richiedono tre riunioni e due esportazioni, l’ISMS è documentazione, non gestione. Un ISMS pratico collega asset, rischi, controlli e responsabilità, in modo che l’impatto sia visibile immediatamente, non ricostruito in un secondo momento. **2. Le evidenze dovrebbero essere un sottoprodotto del lavoro** I team di sicurezza spesso dedicano più tempo a dimostrare le azioni che a svolgerle. Un approccio maturo all’ISMS significa: Non si preparano le evidenze. Le evidenze si accumulano automaticamente man mano che il lavoro procede. Revisioni, approvazioni, valutazioni dei rischi e verifiche dei controlli lasciano una traccia senza che nessuno debba consapevolmente «creare una prova di audit». **3. La sicurezza è trasversale: il sistema deve rifletterlo** La sicurezza delle informazioni non è responsabilità della sola IT: - Le risorse umane attivano eventi del ciclo di vita delle identità - Gli approvvigionamenti introducono rischi legati ai fornitori - Le unità di business classificano i dati - L’ufficio legale definisce gli obblighi Se la sicurezza dipende da un unico dipartimento che raccoglie aggiornamenti dagli altri, diventa periodica. Se ogni team lavora all’interno di una struttura condivisa, diventa continua. **4. Il monitoraggio conta più della documentazione** Molte organizzazioni dispongono di policy scritte perfettamente e continuano comunque a subire incidenti. Perché la vera domanda non è: «Il controllo è stato progettato?» Ma: «Il controllo funzionava martedì scorso?» La visibilità continua, non la completezza delle policy, definisce la maturità operativa della sicurezza. Dove si inseriscono strumenti come Swiss GRC Quando la sicurezza esiste solo come documentazione, la fiducia dipende dalla memoria. Quando la sicurezza esiste come sistema, la fiducia dipende dai registri. Questa differenza emerge durante: - gli audit - gli incidenti - la due diligence dei clienti - le verifiche regolamentari Le organizzazioni non incontrano difficoltà perché mancano di attività di sicurezza. Incontrano difficoltà perché non riescono a vederla nel tempo. Un [ISMS efficace](https://swissgrc.com/it/information-security-management-isms-software/) non rende un’azienda «più sicura» dall’oggi al domani. Rende la sicurezza osservabile, e una volta che qualcosa è osservabile, diventa gestibile. Ed è di solito a questo punto che la sicurezza smette di sembrare un progetto annuale e comincia a funzionare come un’operazione quotidiana. Il risultato pratico Quando la sicurezza esiste solo come documentazione, la fiducia dipende dalla memoria. Quando la sicurezza esiste come sistema, la fiducia dipende dalle registrazioni. Questa differenza emerge durante: - gli audit - gli incidenti - la due diligence dei clienti - le verifiche regolamentari Le organizzazioni non sono in difficoltà perché manca il lavoro sulla sicurezza. Sono in difficoltà perché non riescono a osservarlo nel tempo. Un ISMS efficace non rende un’azienda «più sicura» da un giorno all’altro. Rende la sicurezza osservabile: e una volta che qualcosa è osservabile, diventa gestibile. Ed è generalmente a questo punto che la sicurezza smette di essere percepita come un progetto annuale e inizia a funzionare come un’attività quotidiana. ## Domande frequenti ### Perché molti sistemi di gestione della sicurezza delle informazioni falliscono nella pratica? Perché il lavoro di sicurezza è sparso tra e-mail, fogli di calcolo e documenti e non è dimostrabile nel tempo. In caso di audit, incidente o questionario di un cliente, i team ricostruiscono la sicurezza invece di verificarla. ### Che cosa deve consentire un ISMS efficace? L'articolo indica quattro punti: la sicurezza segue l'asset, le evidenze sono un sottoprodotto del lavoro, il sistema riflette la natura trasversale della sicurezza e il monitoraggio conta più della documentazione. ### Perché il monitoraggio conta più della documentazione? Molte organizzazioni hanno policy scritte perfettamente e subiscono comunque incidenti. La domanda decisiva è se il controllo funzionava in un dato momento, non se è stato progettato. ### Un ISMS rende un'azienda più sicura subito? No. Secondo l'articolo un ISMS efficace non rende un'azienda più sicura dall'oggi al domani, ma rende la sicurezza osservabile, e ciò che è osservabile diventa gestibile. ### In quali situazioni emerge la differenza tra documentazione e sistema? Emerge durante gli audit, gli incidenti, la due diligence dei clienti e le verifiche regolamentari. Con la sola documentazione la fiducia dipende dalla memoria, con un sistema dipende dai registri.